Ağ nedir?

Açılış

Envanter tablosunu bitirdikleri akşam Nilüfer Hanım, koridordaki modemin yanıp sönen ışıklarına uzun uzun baktı ve torununa döndü: "İnternet bunun içinde mi?" Ece güldü, sonra sorunun aslında çok iyi bir soru olduğunu fark etti. Salondaki televizyon, mutfaktaki hoparlör ve anneannesinin telefonu bu kutuyla konuşuyordu; kutu da evin dışındaki bir şeyle. Peki o "şey" neydi, nerede başlıyor, nerede bitiyordu?

Ece anlatmaya çalıştı ve anlatırken kendisinin de bazı şeyleri hiç düşünmediğini fark etti. Televizyon ile telefon, internet kesik olsa bile birbirini bulabiliyordu; demek ki evin içinde ayrı bir ağ vardı. Bir video izlenirken veri tek parça hâlinde değil, küçük parçalar hâlinde geliyordu. Ve evin ağına bağlanan herkes, misafir olarak gelen komşu da, aynı ağın içindeydi.

Bu ders Nilüfer Hanım'ın sorusundan yola çıkıyor: cihazları birbirine bağlayan şey ne, veri nasıl taşınıyor ve evin duvarlarıyla internet arasındaki sınır güvenlik için neden bu kadar önemli?

Tek fikir

Ağ, ortak kurallarla konuşan cihazların birbirine bağlanmasıdır; internet ise bu ağların birbirine bağlanmasıyla oluşan ağların ağıdır. Ağın kendisi güvenilir bir taşıyıcı olarak tasarlanmadı; güvenlik, konuşan uçların sorumluluğuna bırakıldı.

Nasıl çalışır

Modül 2 boyunca tek bir cihazın içine baktık. Ama günümüzde neredeyse hiçbir cihaz yalnız çalışmıyor; envanterindeki cihazların çoğu bir ağa bağlı. İki cihazın konuşabilmesi için üç şey gerekir: aralarında bir yol, gönderilen verinin nasıl paketleneceğine dair ortak bir anlaşma ve her birinin diğerini bulabileceği bir adres. Adresleri sonraki derste ele alacağız; bu derste yolu ve anlaşmayı konuşuyoruz.

Yol fiziksel olabilir, bir kablo gibi, ya da havadan, bir kablosuz bağlantı gibi. Ama yol tek başına yetmez. İki kişi aynı odada farklı dilleri konuşuyorsa, sesleri birbirine ulaşsa da anlaşamazlar.

Ağlar veriyi bütün hâlinde değil, küçük parçalar hâlinde taşır.

Paketlerle çalışmanın iki büyük avantajı var. Ağın aynı hattı aynı anda pek çok konuşma arasında paylaştırabilmesi ve bir yol kapandığında paketlerin başka yoldan gidebilmesi. Güvenlik açısından ise bir sonucu var: bir paket yol boyunca birçok cihazdan geçer ve bu cihazların her biri, paketin içi korunmuyorsa, onu okuyabilir.

İnternet ise tek bir ağ değildir. Evlerin, şirketlerin, üniversitelerin ve internet servis sağlayıcılarının milyonlarca ayrı ağı, ortak protokollerle birbirine bağlanmıştır. Nilüfer Hanım'ın modemi, evinin yerel ağı ile internet servis sağlayıcısının ağı arasındaki kapıdır; internet onun içinde değil, kapının öbür tarafındadır.

Bu tasarımın güvenlik açısından açık bir sonucu var ve internetin kendi mimari ilkeleri onu açıkça yazar.

Bu ilke, bu modülün ve sonraki ağ güvenliği seviyesinin anahtarıdır. Ağ, paketleri taşımakla görevlidir; onları korumakla değil. Bir paketin içeriğini korumak, onu gönderen ve alan cihazların işidir.

Sahada

Savunma

Bu dersin savunması, ağın bir taşıyıcı olduğunu ve yolun güvenilir olmadığını kabul etmekle başlar.

İlk savunma, içeriği uçlarda korumaktır. Mimari ilkenin söylediği gibi, gizlilik ve kimlik doğrulama ağdan beklenmez, konuşan cihazların kullandığı protokollerde sağlanır. Pratikte bu, şifreli bağlantı kullanan hizmetleri tercih etmek demektir: adres çubuğunda güvenli bağlantı gösteren siteler, uçtan uca şifreleme kullanan mesajlaşma uygulamaları. Bunları Seviye 4'te kriptografi bölümünde ayrıntılı işleyeceğiz. Şimdilik ilke yeterli: yoldaki bir cihaz paketi görebilir, ama içeriği şifreliyse okuyamaz.

İkinci savunma, yerel ağın sınırını bilmektir. Aynı yerel ağdaki cihazlar birbirini görebilir ve birbirine doğrudan ulaşabilir. Bu, ev ağına bağlanan her cihazın, misafirin telefonu da, eski ve güncellenmeyen akıllı televizyon da, diğer cihazlarının komşusu olduğu anlamına gelir. Defne Hanım'ın istediği gibi, misafirler ve güvenilmeyen cihazlar için ayrı bir ağ, bu komşuluğu keser. Ev yönlendiricilerinin çoğu misafir ağı özelliği taşır; onu ilerideki bir derste kuracağız.

Üçüncü savunma, internet ile yerel ağ arasındaki kapıyı tanımaktır. Modem ya da yönlendirici bu kapının kendisidir ve dışarıdan içeriye hangi bağlantıların gelebileceğine büyük ölçüde o karar verir. Bu cihazın güncel olması, yönetici parolasının değiştirilmiş olması ve dışarıya gereksiz kapı açmaması, evin bütün cihazlarını korur. Envanterinde modem bir satır olarak yer alıyorsa, bu satır en önemli satırlardan biridir.

Son olarak, ağa bağlanan her yeni cihaz bir karar olmalıdır. Bir cihazı ağa bağlamadan önce ona gerçekten internet bağlantısı gerekip gerekmediğini, gerekiyorsa ayrı bir ağa konup konamayacağını sormak, Bora'nın hastanesindeki kapı sayımının evdeki karşılığıdır.

Uygulama

Bu uygulamada kendi bilgisayarından paketlerin internete nasıl yol aldığını görecek, evin içindeki konuşmayla dışarıya giden konuşmanın farkını da kendin deneyeceksin. Kullanacağın iki komut, bilgisayarların en sıradan bağlantı tanılama araçlarıdır.

Bazı satırlarda yıldız işaretleri görürsen endişelenme; bazı yönlendiriciler bu sorulara bilerek cevap vermez. Bu da ağların birbirine güvenmeden bağlandığının küçük bir göstergesidir.

Defter: Tehditler bölümüne bir not: paketlerin evden çıkıp siteye ulaşana kadar geçtiği yönlendirici sayısı ve buradan çıkardığın sonuç, yani içeriğin neden uçlarda korunması gerektiği. Envanterde modem satırının yanına "evin ağını dış dünyaya bağlayan kapı" notu.

Hata köşesi

Etik ve sınırlar

Bu derste kullandığın ping ve traceroute komutları, internetin her yerinde kullanılan sıradan tanılama araçlarıdır ve bir web sitesine bunlarla birkaç soru göndermek o sitenin olağan kullanımı sayılır. Ama aynı araçları ya da daha güçlü tarama araçlarını, bir kurumun ağındaki cihazları tek tek yoklamak, hangi cihazların açık olduğunu çıkarmak için kullanmak başka bir şeydir ve ancak o ağın sahibinin yetkisiyle yapılır. Defne Hanım'ın bürosundaki müşteri yazıcıyı ve bilgisayar adını gördü ve hiçbirine dokunmadı; doğru davranış buydu. Bir kafede, otelde ya da komşunun ağında, ağa bağlanma izni verilmiş olsa bile, o ağdaki diğer insanların cihazlarına erişmeye çalışmak, sahiplerinin rızası dışında yapılan bir müdahaledir.

Kapanış

1. Ağ, ortak kurallarla, yani protokollerle konuşan cihazların bağlantısıdır; veri ağ üzerinde küçük paketler hâlinde taşınır ve varışta yeniden birleştirilir.
2. Yerel ağ sınırlı bir alandaki cihazları doğrudan bağlar; internet ise birbirine güvenmesi gerekmeyen milyonlarca ağın ortak protokollerle oluşturduğu ağların ağıdır.
3. İnternet mimarisinin ilkesine göre gizlilik ve kimlik doğrulama uçların sorumluluğundadır; ağ paketleri taşır ama korumaz, bu yüzden içerik şifreli bağlantılarla korunur ve güvenilmeyen cihazlar yerel ağda ayrı tutulur.

Üç soru

1. Ev internetin kesik olduğu hâlde televizyon ile telefonun birbirini bulabilmesi neyi gösterir?
2. Bir paket evden bir web sitesine giderken yolda geçtiği cihazlar neden güvenlik açısından önemlidir?
3. Defne Hanım'ın bürosunda kablosuz ağa bağlanan müşterinin büronun bilgisayarını görebilmesi hangi sorunu ortaya koyar ve çözüm nedir?

Yanıtlar

1. Evdeki cihazların internetten ayrı, kendi yerel ağlarında olduğunu gösterir. Modem ve yönlendirici bu yerel ağı internete bağlayan kapıdır; kapı dışarıya kapansa bile içerideki cihazlar aynı yerel ağda birbirine ulaşmaya devam eder.
2. Paket kendi kontrolünde olmayan pek çok yönlendiriciden ve ağdan geçer ve bunların her biri, paketin içeriği şifreli değilse onu okuyabilir ya da değiştirebilir. İnternetin mimari ilkesi bu yüzden uçların ağa güvenmemesini ve gizliliği ile kimlik doğrulamayı kendi protokollerinde sağlamasını ister.
3. Aynı yerel ağa bağlanan her cihaz, diğer cihazların komşusu olur ve onları görebilir, onlara doğrudan ulaşabilir. Misafir cihazları büronun cihazlarıyla aynı ağda olmamalıdır; çözüm misafirler için ayrı bir ağ kurmak ve büronun cihazlarını o ağdan görünmez kılmaktır.

Sonraki derse köprü

Bu derste iki cihazın konuşması için üç şey gerektiğini söyledik: bir yol, ortak bir protokol ve bir adres. İlk ikisini gördük. Üçüncüsü olmadan hiçbir paket yerini bulamaz ve güvenlik kayıtlarının büyük bölümü de bu adreslerle yazılır. Sıradaki ders IP adresi dersi: IPv4 ve IPv6 adreslerini, özel ve genel adres ayrımını ve alt ağ maskesinin anlamını ele alıyor.